De Commissie voor de bescherming van de persoonlijke levenssfeer;

Transcriptie

1 1/6 Advies nr 40/2015 van 23 september 2015 Betreft: Voorstel van wetsontwerp tot gebruik van het nummer van het rijksregister door wijziging van de Wet van 14 december 2005 en het K.B. van 14 november 2008 (CO-A ) De Commissie voor de bescherming van de persoonlijke levenssfeer; Gelet op de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (hierna WVP), inzonderheid artikel 29; Gelet op het verzoek om advies van de Minister van Financiën ontvangen op 07/08/2015; Gelet op het verslag van de heer Frank Robben; Brengt op 23 september 2015 het volgend advies uit:.

2 Advies 40/2015-2/6 I. ONDERWERP EN CONTEXT VAN DE ADVIESAANVRAAG 1. De Commissie ontving op 7 augustus 2015 een adviesaanvraag van de Minister van Financiën (hierna de aanvrager ) over een wetsontwerp (hierna het Ontwerp ) tot wijziging van de Wet van 14 december (hierna de Wet van 14 december 2005 ) en het K.B. van 14 november die de werking van het bijzonder beschermingsfonds betreft (hierna het K.B. van 14 november 2008 ). 2. Het Ontwerp voegt twee artikelen toe in voormelde reglementering. 3. Enerzijds wordt in een eerste artikel xx het gebruik van het rijksregisternummer toegelaten door de effectenbeheerder van de Deposito-en Consignatiekas 3 en zijn lasthebbers met als enig doel de verplichtingen opgelegd door deze wet 4 na te komen. 4. Anderzijds wordt in een tweede artikel xx het gebruik van het rijksregisternummer toegelaten door de deelnemers (onder meer kredietinstellingen en beleggingsondernemingen) en het garantiefonds 5 onder het K.B. van 14 november II. ONDERZOEK TEN GRONDE 1. Toepasselijkheid van de WVP 5. De toepasselijkheid van de WVP staat vast gezien het voorstel van wetsontwerp betrekking heeft op een uitbreiding van het gebruik van het rijksregisternummer onder voormelde reglementering. 2. Finaliteitsbeginsel (artikel 4 WVP) 6. Het finaliteitsbeginsel legt de verantwoordelijke voor de verwerking op om het rijksregisternummer slechts te verwerken voor (een) welbepaalde doelstelling(en) die 1 Wet houdende afschaffing van de effecten aan toonder. Voor een officieuze coördinatie zie 2 Koninklijk besluit tot uitvoering van de wet van 15 oktober 2008 houdende maatregelen ter bevordering van de financiële stabiliteit en inzonderheid tot instelling van een staatsgarantie voor verstrekte kredieten en andere verrichtingen in het kader van de financiële stabiliteit, voor wat betreft de bescherming van de deposito's, de levensverzekeringen en het kapitaal van erkende coöperatieve vennootschappen, en tot wijziging van de wet van 2 augustus 2002 betreffende het toezicht op de financiële sector en de financiële diensten, B.S., 17 november Zie de officieuze coördinatie op FSP.pdf 3 Zie 4 De wet van 14 december

3 Advies 40/2015-3/6 uitdrukkelijk moet(en) omschreven en gerechtvaardigd zijn. De finaliteit van de verwerkingen onder voormelde reglementering is de klanten te identificeren aan de hand van hun rijksregisternummer teneinde hen terug te betalen door (via) een dienst van de FOD Financiën, al dan niet na afname van een boete Onder de strikte voorwaarde dat de in randnummers 3 en 4 aangehaalde actoren het rijksregisternummer enkel gebruiken met als enig doel om de betrokkenen te identificeren teneinde hen terug te betalen onder de in randnummer 1 vermelde wetgeving, acht de Commissie het voormelde finaliteitsbeginsel voldaan. 3. Aanduiden van de verantwoordelijke voor de verwerking 8. De Commissie wijst op de vereiste in artikel 1 4 WVP om de verantwoordelijke voor de betrokken verwerking(en) krachtens de wetgeving aan te duiden. Deze vereiste is vooral relevant in het licht van de complexiteit van de financiële wetgeving, en de diverse actoren die betrokken zullen worden bij de beoogde verwerking. 4. Transparantie 9. De Commissie herinnert eraan dat een eerlijke verwerking van gegevens een verwerking is die gebeurt op een transparante wijze. Eén van de hoekstenen van een transparante verwerking, betreft de informatieplicht in de zin van artikel 9, 2, WVP. 10. In voorliggend geval zullen de geplande gegevensverwerkingen evenwel verricht worden met het oog op de toepassing van bepalingen voorgeschreven door of krachtens een wet, een decreet of een ordonnantie (zie randnummer 1). Op grond van artikel 9, 2, 2de lid, b), WVP is in een dergelijke situatie een vrijstelling van de informatieplicht van kracht. 11. Deze vrijstelling neemt echter niet weg dat de Commissie er zich meer algemeen kan van vergewissen of er passende waarborgen bestaan voor de bescherming van de fundamentele rechten van de betrokkene. Dit gelet op het feit dat de transparantie ook niet uitsluitend gewaarborgd wordt door de informatieplicht (cf. artikelen 4, 1, 1 en 9 tot 15bis WVP), en de vereiste van voorzienbaarheid van reglementaire inmengingen in de persoonlijke levenssfeer (artikel 8 EVRM), die soms (bvb op complex, fiscaal-financieel vlak) voor de betrokkenen vrij ontransparant kan overkomen. De Commissie onderzoekt dan ook de transparantie van de reglementering. 6 Artikel 11 3 van het K.B. van 14 december 2005 bepaalt dat de betrokkene die de teruggave vraagt van de bedragen afkomstig van de verkoop een boete verschuldigd is berekend per jaar achterstand vanaf 31 december 2015

4 Advies 40/2015-4/ Omschrijving van de ontvangers van de gegevens 12. De wetgeving dient afdoende duidelijk te zijn opdat (onder meer) categorieën van ontvangers van het rijksregisternummer (de gebruikers 7 van het nummer van het rijksregister) afdoende duidelijk zou zijn 8, en de bijkomende gegevensfluxen die worden opgezet op basis van het nummer. Deze ontvangers zijn : - de deelnemers onder het K.B. van 14 november Het Ontwerp gaat er van uit dat de bestaande mogelijkheid voor een aantal private instellingen om het rijksregisternummer te gebruiken op basis van bestaande (niet ander gepreciseerde) wetgeving ook zou toelaten om het nummer te gebruiken voor een bijkomende doelstelling onder voormelde reglementering. - de (private?) lasthebbers van de Deposito- en Consignatiekas; - (de effectenbeheerder van) de Deposito-en Consignatiekas; - het Garantiefonds. 13. De Commissie is van oordeel dat de omschrijvingen de lasthebbers en de deelnemers a priori niet duidelijk maken welke (al dan niet privaatrechtelijke) instanties het nummer zullen gebruiken. De vraag wie de lasthebbers en de deelnemers zijn zal dus! niet duidelijk zijn voor de betrokkene, ook rekening houdende met de complexiteit van de financiële wetgeving en het gebrek aan transparantie aangaande zowel de partijen waarmee de FOD Financiën lastgevingen zal afsluiten. 14. De wetgever dient derhalve deze categorieën duidelijker te omschrijven teneinde het risico op verboden hergebruik van het nummer voor andere (commerciële) doeleinden te kunnen opvolgen Omschrijving van de gegevensfluxen 15. Verder is het Ontwerp ook onduidelijk over de transparantie van de bijkomende gegevensfluxen die buiten de FOD Financiën worden opgezet zonder dat hiervoor een specifieke machtiging voorhanden is door het bevoegde sectoraal comité. 7 Dit omvat niet de instanties die vallen onder de only once wet van 5 mei Zie o.m. volgende adviezen van de raad van State : Advies /4 van 27 februari 1998, pagina 7 advies /1 van 23 januari 2003, advies van 4 november 2004, advies van 25 februari 1998 en advies van 27 augustus 2008, advies nr /4 van 28 mei 2013, Kamer, DOC 53, 2943/001 pagina 32.

5 Advies 40/2015-5/6 16. In een context waar de FOD Financiën een toenemende aantal gegevensfluxen opzet wordt ook de nood aan overzicht en transparantie voor de betrokkene groter. 17. Hoewel de Commissie er zich van bewust is dat de FOD Financiën 9, net als VLABEL 10, sinds eind 2014 een inspanning doet om op haar website de transparantie van de door de sectoraal comités gemachtigde gegevensfluxen te verhogen, is de Commissie van oordeel dat dergelijke transparantie evenzeer moet gelden voor de gegevensfluxen die (enkel) worden gemachtigd door een bijzondere reglementering zoals in het voorliggende Ontwerp. Slechts transparant te zijn over een deel van de (gemachtigde) gegevensfluxen lijkt alleszins niet te verzoenen met de vereiste van voorzienbaarheid onder artikel 8 EVRM en 22 Grondwet. 18. De Commissie wenst dat derhalve dat het Ontwerp het beginsel van de transparantie van de gegevensfluxen duidelijker vertaalt als verplichting in hoofde van de FOD Financiën en de voormelde ontvangers. Dit kan op volgende wijze : - Opleggen om de betrokkenen te informeren dat het nummer van het rijksregister wordt verwerkt op de websites, in de privacyclausules en in de relevante stukken en overeenkomsten van alle in randnummer 13 vermelde ontvangers; - transparantie van de partijen bij de (lastgevings)overeenkomsten die de FOD Financiën afsluit met de betrokken private partijen. Een voorbeeld is de FOD Mobiliteit die de overeenkomsten met partijen die al dan niet 11 een machtiging verkregen van het sectoraal comité voor de federale overheid 12 publiceert op haar website Beveiliging (artikel 16 WVP) 19. De voormelde lasthebbers van de deposito- en consignatiekas moeten wellicht worden gekwalificeerd als een verwerker in de zin van artikel 1 5 van de WVP. Zij dienen derhalve met de verantwoordelijke voor de verwerking (de deposito- en consignatiekas) een verwerkersovereenkomst af te sluiten in naleving van artikel 16 1 WVP. 20. Het Ontwerp legt geen plicht vast voor de betrokken deelnemers aan het garantiefonds om een informatieveiligheidsconsulent te hebben. Onder meer is onduidelijk of de voormelde ontvangers zullen dienen te voldoen aan de technische en organisatorische Bijvoorbeeld protocolakkoord met FEBIAC van 15 januari op basis van een uitzonderingsbepaling in de wet kruispuntbank voertuigen 13

6 Advies 40/2015-6/6 maatregelen die de bevoegde sectorale comités vereisen voor gebruik van het rijksregisternummer. 21. De Commissie wenst dat rekening wordt gehouden met de minimale veiligheidsnormen die worden vermeld door haar website 14. Zij behoudt de mogelijkheid voor om op elk ogenblik, bijvoorbeeld ter gelegenheid van (de melding van) een beveiligingsinbreuk, na te gaan of de voormelde ontvangers van het nummer deze referentiemaatregelen naleven. OM DEZE REDENEN, De Commissie verleent een gunstig advies, onder voorbehoud van naleving van de voormelde opmerkingen. De Wnd. Administrateur De Voorzitter, (get.) An Machtens (get.) Willem Debeuckelaere 14 elke_verwerking_van_persoonsgegevens_0.pdf